Windows 11系统中未知脚本触发资源管理器关闭的问题排查求助

我完全懂你这种摸不着头脑的烦躁——自家Windows 11 PC每天好几次资源管理器突然崩溃，还只看到CMD窗口闪一下就没，根本抓不到到底是什么脚本在搞鬼，确实头疼。结合你说的情况，我给你整理几个不用额外装软件的排查步骤，都是用系统自带工具就能搞定的：

先解决CMD窗口一闪而过的问题，抓核心线索 #

• 临时修改注册表让CMD执行后停留：按下Win+R输入regedit打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor，右键新建字符串值，命名为AutoRun，数值数据填pause。这样所有系统触发的CMD窗口都会在执行完后暂停，你就能看清里面的命令内容了。记得排查完一定要删掉这个值，不然每次手动开CMD都会卡住。

从系统日志里挖崩溃和脚本的关联记录 #

打开事件查看器（Win+R输入eventvwr），重点看这几个日志：

• Windows日志 -> 应用程序：右侧点「筛选当前日志」，事件来源选Application Error和Windows Error Reporting，找事件ID为1000的记录（应用程序崩溃），里面会明确标注explorer.exe的崩溃信息，还可能提到触发它的父进程路径。
• Windows日志 -> 系统：筛选事件来源为Service Control Manager，找和explorer.exe终止、异常相关的记录，同时留意同一时间有没有陌生进程启动的日志。
• 应用程序和服务日志 -> Microsoft -> Windows -> TaskScheduler -> Operational：这里能查到所有计划任务的执行记录，如果是定时运行的脚本，大概率能在这儿找到对应的任务条目，包括它执行的具体程序或脚本路径。

排查启动项和计划任务，找可疑触发源 #

• 启动项：按下Win+R输入msconfig，切换到「启动」标签，或者直接打开任务管理器的「启动」页，看看有没有陌生的、不是你自己添加的启动项，尤其是指向CMD脚本或不知名EXE的条目。
• 计划任务：打开任务计划程序（Win+R输入taskschd.msc），逐个检查「任务计划程序库」里的任务，重点看设置了「每日多次执行」「登录时触发」「空闲时触发」的任务，查看任务的「操作」选项卡，确认是不是在执行CMD脚本或批处理文件。

用Process Monitor实时追踪进程活动 #

使用微软Sysinternals系列的Process Monitor工具，打开后设置过滤规则：只追踪cmd.exe和explorer.exe的进程活动，让它在后台运行。等问题再次发生时，就能查看CMD执行的具体命令，以及资源管理器崩溃前后的详细进程操作记录，精准定位元凶。

另外，作为家用PC，也可以回忆下最近新装的软件——比如某些优化工具、壁纸插件、甚至是下载的不明来源程序，这类软件常自带后台脚本，说不定就是罪魁祸首。

备注：内容来源于stack exchange，提问作者OldManSeph